Beheerders van Debian en Ubuntu moeten rekening houden met een ernstig APT MITM-lek. Het probleem zit in APT, de pakketbeheerder: als een aanvaller downloads kan aanpassen, kan die een gecontroleerd (geverifieerd) pakket vervangen door een eigen versie. Zodra het systeem het pakket installeert, kan de aangevallen code vervolgens als root worden uitgevoerd.
Volgens advisories van Debian, Ubuntu en de APT-ontwikkelaars gaat het om een kwetsbaarheid die als kritisch wordt beoordeeld. Ondertussen zijn er fixes beschikbaar en wordt duidelijk welke configuraties extra risico kunnen geven.
Wat is het APT MITM-lek precies?
De kern van de aanval is pakketverwisseling. Normaal gesproken controleert APT pakketdownloads op basis van de verwachte inhoud. Bij dit lek kan een aanvaller echter de downloadroute beïnvloeden, waardoor een “checked” pakket wordt vervangen door een eigen exemplaar.
De impact is groot: de aanvaller kan code laten draaien met root-rechten. Dat betekent dat een succesvolle aanval niet alleen de integriteit van updates aantast, maar ook direct richting volledige systeemcontrole kan leiden.
Wanneer werkt de aanval?
De kwetsbaarheid vereist dat APT een mislukte download opnieuw probeert. APT doet dat standaard, en volgens de advisories gebeurt dat automatisch op Debian 12 en Ubuntu 22.04 en nieuwer.
De aanvallers maken daarbij gebruik van technieken die APT ertoe bewegen de download nogmaals te starten. De ontwikkelaars noemen onder meer:
- HTTP-redirects om de route en terug te leveren content te sturen
- tijdelijke serverfouten om APT te laten retry’en
Het is belangrijk om te beseffen dat de aanval draait om het kunnen beïnvloeden van het verkeer tussen APT en de pakketserver.
Wie kan dit misbruiken?
Ubuntu stelt dat in principe iedereen die de HTTP-verbinding tussen APT en de pakketbron kan wijzigen, de aanval kan uitvoeren. Denk aan een kwaadwillende mirror of proxy in het pad van de download.
Bij de aanval loopt het verkeer niet per se over HTTPS; de advisories beschrijven de vector via HTTP. Ze geven daarnaast geen zekerheid over de vraag of bronnen die via HTTPS worden bereikt in alle gevallen ook blootgesteld zijn.
Welke systemen zijn kwetsbaar?
Debian heeft voor de kwetsbaarheid inmiddels gefixte APT-versies uitgebracht. Voor Debian is de kwetsbaarheid gecodeerd als CVE-2026-109518.
Voor Ubuntu geeft de leverancier aan dat de kwetsbaarheid geldt voor Ubuntu-distributies die op Debian en Ubuntu zijn gebouwd, zonder alle betrokken varianten bij naam te noemen.
Debian en Ubuntu versies in het kort
De APT-ontwikkelaars beschrijven ook uitzonderingen en “grijze gebieden”:
- Debian 11 en Ubuntu 20.04 worden niet standaard blootgesteld volgens Ubuntu, omdat de retry-instelling niet automatisch op zo’n manier actief zou zijn.
- Toch kunnen gebruikerscripts of aangepaste configuraties op oudere releases alsnog de retry-parameter hebben ingeschakeld (genaamd Acquire::Retries).
- Ubuntu geeft aan dat Debian in een testbranch op 4 november nog op een kwetsbare APT-versie zat (3.3.5 op het moment van controle).
Ook relevant: voor Debian 11, waarvan de long-term support eindigde op 31 augustus, hebben de APT-ontwikkelaars een vaste APT-versie gepubliceerd (2.2.5).
Ubuntu updates: welke versies zijn vrijgegeven?
Ubuntu publiceerde op 4 november nieuwe APT-builds voor meerdere releases in zijn security-archief. De beschikbare versies per release die in de advisory staan, zijn:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Op het moment van controle markeerde Ubuntu daarnaast nog alle releases die het beheert—van 14.04 LTS tot 26.10—als kwetsbaar.
Hoe ernstig is het APT MITM-lek?
Ubuntu classificeert de kwetsbaarheid als high priority, met een CVSS-score van 7,7. De APT-ontwikkelaars noemen de kwestie zelfs critical, wat vooral logisch is gezien het scenario waarin aangevallen code als root kan draaien.
Een belangrijk detail uit de advisories: er worden geen voorbeelden beschreven van daadwerkelijke aanvallen in de rapportages zelf. Tegelijk geven diezelfde rapportages aan dat de vector en het mechanisme duidelijk zijn, en dat updates beschikbaar zijn—waardoor uitstel weinig voordelen heeft.
Wat kun je nu doen?
Omdat de aanval draait om pakketintegriteit en MITM-achtige beïnvloeding van downloads, zijn de maatregelen vooral praktisch: update APT en zorg dat je pakketbron- en netwerkpad klopt.
1) Update APT naar een gefixte versie
De meest directe stap is het bijwerken van APT naar de vaste versies zoals beschikbaar gesteld door Debian en Ubuntu. Dit is de manier om de aanvalsketen te doorbreken vóór installatie plaatsvindt.
Als je systemen nog niet kunnen worden bijgewerkt, bekijk dan gericht of jouw omgevingen retry-gedrag mogelijk hebben aangezet via Acquire::Retries.
2) Check of retry-instellingen aangepast zijn
Ook op releases die “niet standaard blootgesteld” zijn, kan het risico alsnog ontstaan als scripts retry’s inschakelen. Controleer daarom de APT-configuratie op instelwaarden die APT kunnen triggeren om downloads opnieuw te proberen.
3) Versterk de route naar pakketbronnen
De aanval veronderstelt dat HTTP-verkeer kan worden gemanipuleerd. Daarom helpt het om je netwerkpad te beoordelen: gebruik betrouwbare mirrors, voorkom onnodige proxy’s in het updatepad en beperk waar mogelijk wijzigingsruimte in segmenten tussen clients en pakketbronnen.
Wie daarnaast al werkt met een gelaagde benadering voor runtime en governance bij agenten, ziet dat dit soort incidenten past bij een bredere trend: beveiliging stopt niet bij één laag. Je leest hierover ook in ons achtergrondartikel over agent runtime security: waarom één laag niet genoeg is.
Vergelijkbare supply-chain risico’s
Deze kwetsbaarheid raakt aan hetzelfde kernprobleem als bij veel supply-chain aanvallen: als je proces van “vertrouwde input” wordt onderbroken, kan kwaadwillende code binnenkomen alsof het legitiem is. Dit maakt het relevant om verder te kijken dan alleen APT.
Wil je het bredere plaatje van supply-chain risico’s begrijpen, dan is ons artikel over de cPGuard supply chain aanval: wat je moet doen een nuttige aanvulling. Daarin staat vooral centraal welke praktische stappen organisaties nemen om impact te beperken zodra updates of distributiekanalen onder druk komen.
Conclusie
Het APT MITM-lek (CVE-2026-109518) laat zien hoe kwetsbaar systemen kunnen zijn wanneer downloadverkeer wordt beïnvloed en APT opnieuw probeert te halen. De mogelijke uitkomst—code die als root draait—maakt dit een incident waarbij snel handelen verstandig is.
Actualiseer APT naar een versie die door Debian en Ubuntu is vrijgegeven, controleer of retry-instellingen zijn aangepast en verzeker jezelf ervan dat de route naar pakketbronnen betrouwbaar is. Zo voorkom je dat een aanval zich kan voordoen tijdens het installeren van software-updates.
Bron: https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html
